Betrouw baarheid en
continuïteit van de
geau tom atiseerd e
gegeven sverw erk in g:
De ondernemer
Drs. M. Arentsen
In leid in g - Strategie en o rgan isa tie bij CSM
Geconfronteerd met de nieuwe rapporterings plicht van de accountant terzake van de be trouwbaarheid en continuïteit van de geauto matiseerde gegevensverwerking was mijn eerste reactie niet erg positief. Het was mij in het geheel niet duidelijk waarom er nu juist op dit gebied een nadere regeling moest worden getroffen en waarom dat zo nodig een wette lijke regeling moest zijn. Het gemis aan een dergelijke regeling had ik geenszins ervaren. Ook nu ik mij verder in de zaak heb verdiept en kennis heb genomen van de historie van het betreffende wetsartikel is mijn initiële conclu sie in feite niet veranderd. Mijn twijfel aan het nut en de doelmatigheid van het nieuwe wets artikel is nu wellicht wel wat meer onderbouwd. Mijn opvattingen over de - potentiële - effec ten van de aanvulling van artikel 393 lid 4 worden uiteraard nogal ingekleurd door mijn ervaringen bij CSM.
De vraag rijst derhalve of aan mijn mening wel enige algemene geldigheid kan worden ge geven. Het lijkt daarom goed om een korte schets te geven van het bedrijf waar ik werk zaam ben. Daarbij wil ik kort ingaan op de activiteiten, de strategie, de organisatiestruc tuur, de managementcontrol procedures en de accountantscontrole.
CSM is een internationaal werkende groep van ondernemingen met meerdere produktgroe- pen. Vanuit de oorsprong als suikeronderne ming is CSM sinds 1978 het diversificatiepad opgegaan. Thans worden drie kernactiviteiten onderscheiden:
- suiker;
- levensmiddelen; - ingrediënten.
De netto-omzet van de groep over 1992/93 bedroeg ƒ 2,5 miljard.
CSM streeft naar rendabele groei van de on derneming met behoud van haar zelfstandig heid. Belangrijke kenmerken van de concern- strategie zijn:
soliditeit; onder andere blijkend uit een so lide financiering;
geleidelijkheid; gestreefd wordt naar een voortzetting van gestage winstgroei zoals die ook in de afgelopen 16 jaar is gereali seerd;
zelfstandigheid; gestoeld op een goede performance en een beproefde bescher mingsconstructie.
Het kernbegrip dat bij deze kenmerken van de strategie een rol speelt is risicobeheersing. De strategie en de operationele uitvoering daarvan is erop gericht risico’s zoveel
moge-Drs. M. Arentsen, registeraccountant, is financieel directeur van CSM nv te Diemen.
lijk onder controle te houden. Het is dan ook niet verwonderlijk dat ook bij het onderwerp geautomatiseerde informatieverwerking bij CSM risicobeheersing een belangrijke rol speelt. Met andere woorden, mijn twijfel aan het nut van de nieuwe wetgeving kan niet ge stoeld zijn op gebrek aan belangstelling bij het management voor aspecten als betrouwbaar heid en continuïteit van de geautomatiseerde gegevensverwerking.
CSM is een structuurvennootschap met een raad van commissarissen, een concerndirec- tie en drie divisies, met in totaal een twintigtal werkmaatschappijen (deels in Nederland en deels in het buitenland gevestigd).
De organisatiestructuur en de voor de aanstu ring van de werkmaatschappijen gehanteer de managementcontrol procedures zijn naar mijn inschatting niet ongebruikelijk voor een bedrijf met de omvang en range van activitei ten van CSM. Wel kan worden opgemerkt dat de werkmaatschappijen een relatief grote zelf standigheid hebben. De concernstaf en de divisiestaven zijn klein en uitgangspunt van de strategie is dat zoveel mogelijk beslissingen worden genomen op het niveau waar alle fa cetten ervan het beste kunnen worden over zien. Dit impliceert decentralisatie van beleid, waarbij binnen het kader van de management control procedures bepaalde kernbeslissin gen, bijvoorbeeld belangrijke investeringen, managementbenoemingen of organisatiewijzi gingen getoetst worden op divisie c.q. con cernniveau.
Deze zelfde structuur van managementcon trol is ook relevant op het gebied van de ge automatiseerde gegevensverwerking. In be ginsel wordt het beleid en de uitvoering daarvan decentraal per werkmaatschappij vastgesteld. Uiteraard vindt, zoals dat ook het geval is op andere gebieden, toetsing plaats op divisie- resp. concernniveau van belangrij ke beleidsbeslissingen, bijvoorbeeld met be trekking tot investeringsprojecten of invoering van nieuwe informatiesystemen.
Een corporate informatiemanagement of au
tomatiseringsafdeling ontbreekt. Coördinatie en onderlinge afstemming vinden plaats via een automatiseringscomité waarin vertegen woordigers van het concern, de divisies en de grotere werkmaatschappijen zitting hebben. Beveiliging van de geautomatiseerde gege vensverwerking is zeker een onderwerp dat in toenemende mate aandacht krijgt binnen de normale managementcontrol procedures van CSM. Echter dit gebeurt wel op de niveaus in de organisatie waar dit zinvol is. In het over leg tussen de raad van commissarissen en de concerndirectie is het onderwerp nimmer aan de orde geweest. In het overleg tussen de raad van commissarissen en de concerndirectie komen onderwerpen aan de orde zoals de stra tegie, de jaarrekening, het jaarverslag, acqui sities en afstotingen, ingrijpende reorganisa ties etc.
Typisch operationele/organisatorische zaken op werkmaatschappijniveau komen in feite al leen in zeer uitzonderlijke situaties aan de orde, bijvoorbeeld indien er een ‘major break down’ zou zijn. Dit geldt a fortiori ook voor het gebied van de geautomatiseerde gegevens verwerking.
A ccountantscontrole bij CSM
De vraag rijst wat tot heden de rol van de con trolerende accountants was op het gebied van de geautomatiseerde gegevensverwerking. CSM heeft een adequate interne accountants dienst die onder meer de opzet en werking van de informatieverwerkingssystemen van de werkmaatschappijen beoordeelt. De externe accountant certificeert de CSM jaarrekening op basis van de werkzaamheden van de inter ne accountantsdienst, op basis van de werk zaamheden die door buitenlandse accoun tants worden verricht en op basis van eigen aanvullende werkzaamheden.
werking van de externe accountant is een pro gramma van EDP-audits opgezet, waarbij ui teraard aan beveiligingsaspecten bijzondere aandacht wordt gegeven.
In de controlerapporten en management let ters van de buitenlandse accountants komen beveiligingsaspecten van de geautomatiseer de gegevensverwerking in de praktijk niet aan de orde.
De certificerende accountant op groepsni veau, die de verklaring bij de jaarrekening geeft, maakt ook een accountantsverslag - een wettelijk verplicht verslag ex artikel 393 lid 4 - dat naar de concerndirectie en de raad van commissarissen gaat. Daarin komen voorna melijk onderwerpen aan de orde als grondsla gen voor de jaarrekening, de toelichting bij de jaarrekening, stelselwijzigingen, de samenwer king met de interne accountantsdienst. Uiter aard is het goed denkbaar - als daar aanlei ding toe is - dat in dit accountantsverslag specifieke risico’s of onzekerheden met betrek king tot de groep of delen van de groep aan de orde worden gesteld. Er moet dan wel een goede reden zijn om zo zwaar het zoeklicht te zetten op dat specifieke element. Er moet met andere woorden dan wel iets zeer bijzonders aan de hand zijn. Bij CSM is dit echter nooit met betrekking tot de beveiliging van de ge automatiseerde gegevensverwerking het ge val geweest.
De gang van zaken bij CSM op het gebied van de geautomatiseerde gegevensverwerking samenvattend kan het volgende worden ge zegd. De verantwoordelijkheid voor het beleid op dit gebied ligt in eerste instantie op werk- maatschappij-niveau. Met het toenemen van het belang van informatiemanagement is er ook toenemende aandacht voor de beveili gingsaspecten daarvan. De interne accoun tantsdienst heeft hier een signalerende func tie. Een programma van EDP-audits loopt. In het automatiseringscomité krijgt beveiliging specifieke aandacht.
Er is echter nooit aanleiding geweest om het onderwerp aan de orde te stellen in het ver
slag van de certificerende accountant aan de raad van commissarissen en concerndirectie, noch in het overleg tussen raad van commis sarissen en concerndirectie, noch in het over leg tussen certificerende accountant en de concerndirectie. In de beleving van het ver antwoordelijk management bij CSM was er ook geen enkele aanleiding om daar iets aan te veranderen.
A rtikel 393 lid 4 B oek 2 BW - D e p oten tiële v oord elen
Wij hebben nu echter te maken met de aan vulling van artikel 393 lid 4. Zoals minister Hirsch Ballin heeft opgemerkt: De aanleiding is de wens van de wetgever dat meer aan dacht wordt besteed aan de betrouwbaarheid en continuïteit van de geautomatiseerde ge gevensverwerking.
Nu dringen zich twee vragen op: 1 Is er meer aandacht nodig?
2 Heeft de minister een geëigend middel ge kozen?
De eerste vraag kan eigenlijk zonder meer be vestigend worden beantwoord. Ja, meer aan dacht voor betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking is gewenst. Het belang van geautomatiseerde gegevensverwerking en derhalve ook de risi co’s nemen voortdurend toe. De neiging bij het operationele management zal bestaan om aan het onderwerp beveiliging (in ruime zin) wat minder prioriteit te geven dan aan andere as pecten waarvan de voordelen onmiddellijk waarneembaar en meetbaar zijn. Enige extra stimulans tot meer aandacht kan geen kwaad. Wel moet men zich realiseren dat er voor het operationele management nog zoveel andere onderwerpen zijn waaraan eigenlijk ook meer aandacht gegeven zou moeten worden. Men denke bijvoorbeeld aan kwaliteit, service en marktgerichtheid, operationele risico’s, kosten efficiency, produktiviteit etc. Het is met ande re woorden nu net de kunst van goed mana gement op evenwichtige wijze prioriteiten te
kiezen en voortdurend aanpassingen te over wegen en te maken.
De tweede vraag is: Is het verslag van de ac countant richting de raad van commissarissen en concerndirectie het geëigende middel om meer aandacht voor ‘betrouwbaarheid en con tinuïteit van de geautomatiseerde gegevens verwerking’ te bewerkstelligen? Daarop is mijn antwoord: neen.
De accountant doet naar mijn mening niet een zodanig onderzoek in het kader van zijn con trole van de jaarrekening dat op basis daar van een gegrond oordeel over het onderwerp gegeven zou kunnen worden. Onder omstan digheden zou het - toevallig - wel eens zo kunnen zijn dat de accountant iets heeft ge constateerd op basis waarvan een zinnige rap portage kan worden gemaakt. Dit hoeft echter niet zo te zijn en het zal ook in verreweg de meeste gevallen niet zo zijn.
Nu kunnen in principe twee wegen worden bewandeld. Dr erste weg is dat de accoun tant wordt - Q jd om zijn onderzoek speci fiek te r' het onderhavige onderwerp. Dat : niet de bedoeling van de wetge-v ,et zal duidelijk zijn dat dat ook niet jlijk is als er vanuit de onderneming geen foefte aan bestaat. Het alternatief is dat de accountant, teneinde te voldoen aan de wet, een inhoudsloze mededeling doet. Ik ben bang dat dat in de praktijk in verreweg de meeste gevallen de realiteit zal zijn.
A rtikel 393 lid 4 - D e n a d elen
Men kan zich overigens afvragen waarom de accountant nu net over dit onderwerp per se iets moet zeggen. Er zijn toch veel meer ge bieden waar materiële risico’s en onzekerhe den een rol kunnen spelen en waar eventueel door de accountant - als daar aanleiding toe is - over kan worden gerapporteerd. Men den ke aan risico’s en onzekerheden met betrek king tot de markt, het produktieproces, milieu, etc. Ik acht het geen goede zaak om slechts één - op dit niveau van de organisatie minder
relevant - aspect er uit te lichten en daar dan extra aandacht aan te geven. Dat kan leiden tot een onevenwichtig oordeel over de gang van zaken bij de onderneming.
De minister heeft gezegd dat de nieuwe wet geving niet mag leiden tot extra werk, te ver richten door de accountant of tot additionele kosten voor de onderneming of de accoun tant. Naar mijn inschatting zal dit toch moeilijk te vermijden zijn, tenzij hierover keiharde af spraken gemaakt worden met de controle rende accountant. Het gevolg is dan echter weer - in mijn analyse - een weinigzeggende mededeling.
Anderzijds, als de onderneming van mening is dat het wenselijk is dat dit risicogebied spe cifiek wordt afgedekt in de rapportering door de accountant, dan zal gericht onderzoek, wel licht met behulp van een EDP-audit, verricht moeten worden, hetgeen onherroepelijk leidt tot extra kosten.
Een aandachtspunt is de interpretatie door commissarissen van de mededeling door de accountant. Potentieel kunnen misverstanden ontstaan bij commissarissen over de beteke nis van de mededeling en over de grondslag ervoor, hoezeer de accountant ook zijn best zal doen om een en ander duidelijk uit te leg gen. Ik ben bang dat deze verplichting in de wet de verwachtingskloof zal vergroten, waar over rond het accountantsberoep reeds zoveel te doen is.
Ten slotte wil ik nog wijzen op het verhoogde aansprakelijkheidsrisico dat het gevolg kan zijn van de onduidelijkheid die door de wetgever is gecreëerd.
C on clu sie
Alles overziend ben ik niet erg blij met de nieu we wetgeving. Natuurlijk, we komen er - ook bij CSM - wel weer uit. We zullen goede af spraken maken met de accountant. We zullen afspreken dat er geen extra werk behoeft te worden gedaan en in ieder geval geen extra kosten doorbelast mogen worden. We zullen ons best doen om het allemaal zo goed mo gelijk met de raad van commissarissen door te spreken. We zullen dit dus proberen ver standig aan te pakken zodat geen onnodige negatieve gevolgen ontstaan.
Het is echter jammer dat het nodig is om op
deze wijze met nieuwe wetgeving om te gaan. Het ware beter als de overheid zich wat be scheidener had opgesteld en geen inbreuk had gemaakt op de relatie tussen accountant en opdrachtgever. De overheid is in feite een beetje op de stoel van de ondernemer gaan zitten door mede te bepalen wat wenselijk is in het managementproces. Dat is naar mijn mening een ongewenste ontwikkeling. Het is de kunst van goed management om ‘veel bal len tegelijkertijd in de lucht te houden’. Het is evenwicht verstorend wanneer door de over heid bijzondere aandacht - vrij willekeurig en gedwongen - op slechts één aspect van het beleid wordt gevestigd.
Ik hoop dan ook dat wij de aanvulling van arti kel 393 lid 4 kunnen zien als een kleine ont sporing van een overheid die zich ten doel stelt steeds verder terug te treden, eerder dan als een opmaat van toekomstig overheidsbeleid.
